オプトアウト届出事業者、つまり本人の同意を得ずに個人データを第三者提供している名簿事業者等に関係します。一般の個人情報取扱事業者が名簿を「受け取る側」であっても、確認された提供先として扱われる場面が生じうるため、無関係とは言い切れません。何が新しく義務付けられるのか、対象がどこまでかを分けて書きます。
1. 現行制度との違い
現行法上、個人情報取扱事業者は原則として、あらかじめ本人の同意を得ないで個人データを第三者に提供してはなりません。ただし、第三者に提供される個人データについて本人の求めに応じて提供を停止することとし、その名称・住所・本人の求めを受け付ける方法等をあらかじめ本人に通知等した上で、個人情報保護委員会に届け出た場合には、本人の同意なく第三者提供ができます（オプトアウト届出制度、法第27条第2項）。
一次資料は、この制度が抱える問題として「闇名簿」問題を挙げています。オプトアウト届出事業者である名簿屋が、法に違反するような行為に及ぶ者にも名簿を転売する悪質な名簿屋に名簿を提供する事案が発生しており、オプトアウト制度に基づいて提供された個人データが「闇名簿」作成の情報源の一つとなっている現状があるとされています。提供元が提供先の利用目的等をあらかじめ確認することが有用と考えられる一方、現行法にはこの確認義務がありません。
2. 規律の内容
(1) 提供先の確認義務を新設
改正では、オプトアウト制度に基づく第三者提供を行う際、あらかじめ当該第三者（提供先）の身元（氏名または名称、住所、代表者氏名）及び利用目的を確認しなければならないこととされます（法第27条第7項柱書、新設）。
(2) 虚偽申告の禁止と過料
確認に係る事項を偽ってはならないこととされ、違反時には過料の対象となります。名簿屋自身だけでなく、確認に対して身元・利用目的を偽って回答する提供先側にも責任が生じる建て付けです。
(3) 例外
当該個人データを取得した時点で、本人・国の機関・地方公共団体等によって公開されていたものである場合等は、確認義務の例外とされます（法第27条第7項ただし書）。
3. いつから
この規律は本体部分に含まれ、「公布の日から起算して2年を超えない範囲内において政令で定める日」から施行されます。上限は2028年7月16日で、実際の施行日は政令で指定されます。決定タイムラインで追記していきます。
4. 自社が該当するかを考える順序
個別の判断はできませんが、確認の順序は示せます。
- 自社がオプトアウト届出を行い、本人同意なく個人データを第三者提供しているかを確認する。該当しなければこの規律の直接の義務者ではない。
- オプトアウト届出事業者に該当する場合、現在の第三者提供の運用で提供先の身元・利用目的を記録・確認する手順があるかを点検する。
- 逆に、他社からオプトアウト制度に基づいて個人データの提供を受けている場合は、提供元から身元・利用目的の確認を求められる場面が増える可能性があるため、正確な回答ができる体制かを確認する。
- 委員会規則で確認方法・例外事由の細目が示された段階で、自社の手順が要件を満たすかを再点検する。
出典
- S-21個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律について」（PDF） 第3の2「オプトアウト制度に関する規律」（確認日 2026-09-05）
- S-21個人情報保護委員会事務局「政令・規則等で定める事項の全体像」（PDF）（確認日 2026-09-05）
- S-02個人情報保護委員会「令和8年改正個人情報保護法」（確認日 2026-09-04）